Il-mistoqsija tal-cloud Ewropew mhijiex fejn joqgħod is-server
Posta tista’ tkun vera u xorta tħalli l-mistoqsija miftuħa
Hemm mument familjari f’diskussjoni dwar il-cloud. Xi ħadd jistaqsi fejn se jinħażen id-dejta. Xi ħadd ieħor iwieġeb bl-isem ta’ belt Ewropea. Il-kamra tistrieħ ftit. It-tweġiba tista’ tkun perfettament preċiża, u tista’ tgħodd ħafna. Il-ġeografija taffettwa l-latenza, is-sigurtà fiżika, l-elettriku, l-ippjanar tar-reżiljenza, l-impjiegi, ir-responsabbiltà pubblika u l-arranġamenti legali madwar servizz. Awtorità pubblika li jkollha bżonn li ċerti rekords jibqgħu f’territorju ddikjarat għandha raġuni ġusta biex tistaqsi. L-inkwiet jibda meta l-isem tal-belt jintalab isolvi kull mistoqsija oħra fl-arranġament.
Server joqgħod x’imkien. Servizz le. Servizz huwa relazzjoni fost entitajiet legali, nies b’drittijiet ta’ amministratur, komponenti tas-softwer, fornituri tal-ħardwer, kuntratti, timijiet ta’ appoġġ, networks, arranġamenti ta’ encryption, sottokuntratturi u l-klijent li jiddependi mir-riżultat. Il-bini huwa parti materjali waħda minn dik ir-relazzjoni. Ma jurix min jista’ joħroġ istruzzjoni privileġġjata minn banda oħra, liema grupp korporattiv jikkontrolla l-kumpanija operattiva, liema ġuriżdizzjoni tista’ tilħaq fornitur, jekk sottoproċessur inbidilx, jew x’jista’ jieħu miegħu l-klijent meta jintemm il-kuntratt.
Dan mhux argument kontra ċ-ċentri tad-dejta Ewropej jew kontra fornituri Ewropej. Huwa argument kontra li tħalli tweġiba utli tagħmel xogħol li ma tistax tagħmel. Il-mistoqsija Ewropea dwar il-cloud mhijiex jekk server jistax jitqiegħed fuq art Ewropea. Hija jekk l-organizzazzjoni li qed tuża s-servizz tistax tifhem u teżerċita biżżejjed kontroll fuq l-arranġament kollu għax-xogħol li jinsab f’riskju. Il-post jappartjeni f’dik it-tweġiba. Ma jistax ikun it-tweġiba kollha, aktar milli indirizz ta’ kumpanija jgħidilna min għandu ċ-ċwievet tal-kontijiet tagħha.
Id-distinzjoni tgħodd l-aktar fejn il-cloud qed jagħmel xogħol ordinarju u konsegwenzjali. Gvern lokali jista’ jżomm korrispondenza, rekords ta’ każijiet u informazzjoni pubblika f’ambjent ospitat. Manifattur jista’ jżomm disinji u dejta operattiva. Grupp ta’ riċerka jista’ jżomm sett ta’ dejta li ma jistax jiġi mċaqlaq faċilment. Sptar jista’ juża servizzi li jmissu informazzjoni personali. L-ebda wieħed minn dawn l-eżempji ma jeħtieġ qtugħ drammatiku jew rumanz ta’ spjunaġġ biex isir serju. Il-mistoqsija ta’ kuljum hija aktar sempliċi: min għandu awtorità prattika fuq sistema li saret parti mill-kapaċità tal-organizzazzjoni li taħdem?
Il-liġi u l-gwida Ewropej dejjem aktar jittrattaw dan bħala kwistjoni ta’ evidenza, rwoli u bidla aktar milli kwistjoni ta’ vokabularju li jserraħ il-moħħ. Id-Data Act jagħti lill-klijenti drittijiet u lill-fornituri dmirijiet dwar il-bidla, dejta esportabbli u interfaces għal servizzi ta’ pproċessar tad-dejta. L-EDPS ilu jgħid li istituzzjonijiet Ewropej li jużaw servizzi tal-cloud jibqgħu responsabbli għall-obbligi tagħhom ta’ protezzjoni tad-dejta. Ix-xogħol ta’ ENISA dwar ir-riskju tal-cloud isemmi l-lock-in u r-riskju legali bħala affarijiet li għandhom jiġu vvalutati. Dawn mhumiex strumenti identiċi, u ma joħolqux duttrina waħda tal-cloud. Flimkien, jindikaw direzzjoni utli: il-kontroll irid jiġi deskritt, mhux implikat.
Il-pin tal-mappa u l-pjan tal-kontroll
Il-lingwaġġ tal-cloud spiss jagħmel id-distinzjoni aktar diffiċli biex tidher. Il-kelma cloud tissuġġerixxi sistema tat-temp: kbira, imbiegħda u forsi inevitabbli. Fil-prattika, servizz tal-cloud għandu pjan tal-kontroll u pjan tax-xogħol. Il-pjan tax-xogħol huwa fejn jimxi workload, tinħażen id-dejta, jiġu pproċessati t-talbiet u jingħataw ir-riżultati. Il-pjan tal-kontroll huwa s-sett ta’ mekkaniżmi li permezz tagħhom jiġu mmaniġġjati l-identitajiet, jinbidlu l-politiki, jiġi aġġornat is-softwer, tiġi assenjata l-kapaċità, jingħata appoġġ, jiġu rkuprati r-rekords u jitwaqqfu jew jiġu restawrati s-sistemi. Iż-żewġ pjani jistgħu jkunu teknikament distribwiti. It-tnejn jistgħu jaqsmu l-konfini organizzattivi.
Dikjarazzjoni dwar il-post ġeneralment titkellem l-ewwel dwar il-pjan tax-xogħol. Tista' tgħid fejn jinsab ħażna ta' data partikolari, magna virtwali jew reġjun. Dik l-informazzjoni għandha tkun speċifika biżżejjed biex tkun utli. Għandha tgħid x'ikopri, liema kategoriji ta' data tikkonċerna, kif jitħabbru l-bidliet, u jekk il-backups, il-logs, l-informazzjoni ta' appoġġ u d-data derivata jsegwux l-istess regola. Stqarrija li tgħid biss "Ewropa", mingħajr konfini, hija punt ta' tluq għal mistoqsija aktar milli tweġiba. L-Ewropa hi post kbir, u l-arkitettura tas-servizzi tħobb l-eċċezzjonijiet.
Il-pjan ta' kontroll jistaqsi sensiela differenti ta' mistoqsijiet. Min jista' joħloq jew ineħħi amministratur? Min japprova intervent ta' emerġenza? Min imexxi s-servizz tal-identità? Min jista' jara informazzjoni dijanjostika? Liema kumpanija żżomm is-softwer li jagħmel il-pjattaforma taħdem? Liema entità legali tirċievi talba minn awtorità? Liema sottokuntrattur huwa permess li jieħu ħsieb l-appoġġ? Liema parti tista' tbiddel deskrizzjoni ta' servizz jew twaqqaf karatteristika? Klijent jista' jidħol kuljum u xorta ma jkollu l-ebda triq indipendenti biex iwieġeb xi waħda minnhom.
Dan ma jfissirx li l-klijenti għandhom jistennew li jħaddmu kull apparat fiżiku. Normalment ma jistgħux, u ħafna m'għandhomx bżonn. Il-punt hu li d-delega ssir viżibbli. Operazzjoni delegata tista' tkun responsabbli u effiċjenti meta s-setgħat delegati jkunu definiti, immonitorjati u riversibbli. Issir problema ta' sovranità meta l-klijent ikollu biss tikketta kuntrattwali ta' kontroll filwaqt li l-fornitur iżomm in-nies, l-interfaces, ir-rekords u l-għarfien tekniku meħtieġ biex jeżerċitah. Kuntratt li ma jistax jintuża fil-prattika huwa oġġett dekorattiv b'tipografija tajba.
Għal min jixtri, il-konsegwenza prattika hi sempliċi. Żomm il-mistoqsija tal-post. Żid il-mistoqsija tal-kontroll maġenbu. Staqsi fejn jinsab il-piż tax-xogħol, imbagħad staqsi min jista' jbiddel il-kundizzjonijiet tiegħu. Staqsi fejn tiġi pproċessata d-data, imbagħad staqsi min jista' jilħaq it-triq amministrattiva. Staqsi fejn jinżamm il-backup, imbagħad staqsi min jista' jirrestawrah u taħt liema awtorità. It-tweġibiet jistgħu jkunu sodisfaċenti. Jistgħu jikxfu dipendenza li trid tiġi aċċettata b'mod deliberat. Kwalunkwe riżultat huwa aħjar milli tiskopri li pin fuq mappa kien qed jagħmel ix-xogħol ta' mudell operattiv.
Is-sjieda mhijiex dettall amministrattiv
Is-sjieda kultant tiġi ttrattata bħala dibattitu separat dwar bnadar, boroż u kburija nazzjonali. Hi aktar konkreta minn hekk. Is-sjieda tista' tiddetermina min jaħtar il-bord, min japprova bejgħ, min jidderieġi l-investiment, min għandu l-proprjetà intellettwali, liema politiki tal-grupp japplikaw, u liema entità finalment tiddeċiedi jekk servizz jibqax linja ta' negozju. Klijent m'għandux bżonn regola simplistika li tgħid li struttura ta' sjieda waħda biss hija aċċettabbli. Imma jeħtieġ li jkun jaf l-istruttura qabel ma jsejjaħ l-arranġament indipendenti.
L-organizzazzjoni korporattiva taffettwa wkoll xi tfisser wegħda ta' cloud. Marka tista' tkun lokali waqt li s-servizz jitmexxa minn entità differenti. Sussidjarja Ewropea tista' tikkuntratta ma' klijent Ewropew waqt li grupp x'imkien ieħor jipprovdi softwer essenzjali, operazzjonijiet ta' sigurtà, appoġġ, kontijiet, analitika tad-data jew awtorità eżekuttiva. Sieħeb lokali jista' ġenwinament jikkontribwixxi xogħol ta' implimentazzjoni siewi waqt li jiddependi fuq pjattaforma li ma jistax ibiddel. L-ebda wieħed minn dawn l-arranġamenti mhu awtomatikament ħażin. Huma arranġamenti ta' kontroll differenti, u m'għandhomx jidhru identiċi permezz ta' logo kondiviż u numru tat-telefon lokali.
Il-mistoqsija rilevanti mhijiex jekk xerrej jistax isib konnessjoni barranija x’imkien f’katina ta’ provvista twila. It-teknoloġija moderna hija interkonnessa, u t-testijiet tal-purità mhumiex metodu ta’ akkwist. Il-mistoqsija hija fejn dipendenza ssir deċiżiva. Liema entità tista’ tbiddel il-kuntratt? Liema entità tikkontrolla l-proprjetà intellettwali tas-servizz? Liema entità tista’ tagħmel impenn ta’ appoġġ? Liema entità għandha l-kredenzjali jew l-għarfien meħtieġa biex tirkupra l-funzjoni? Liema entità tista’ tinkiseb, tiġi ssanzjonata, tiġi ristrutturata jew tintalab tagħmel xi ħaġa b’mod li jbiddel il-pożizzjoni tal-konsumatur? Dawk huma mistoqsijiet dwar il-poter reali.
Is-sjieda tinbidel ukoll. Akkwist, rawnd ta’ finanzjament, ristrutturar jew trasferiment intern jistgħu jbiddlu l-istampa tal-kontroll mingħajr ma jiċċaqlaq server wieħed. Klawżola dwar il-post miktuba fil-ħin tal-firem tista’ tibqa’ fattwalment korretta filwaqt li l-fatti organizzattivi madwarha nbidlu. Huwa għalhekk li fajl serju tal-cloud jeħtieġ proċess ta’ bidla. Il-konsumatur għandu jkun jaf liema bidla trid tiġi żvelata, min se jivvaluta l-effett tagħha, liema evidenza trid tiġi aġġornata u liema awtorità tista’ twaqqaf fluss ġdid ta’ dejta waqt li ssir il-valutazzjoni. Mhuwiex xogħol sabiħ. Lanqas mhu li tiċċekkja ż-żejt f’karozza, u forsi huwa għalhekk li n-nies jiftakruh wara li l-magna tibda tilmenta.
Fil-linji gwida tiegħu tal-2018 dwar il-cloud, l-EDPS enfasizza li l-istituzzjonijiet tal-UE jibqgħu responsabbli għall-obbligi tagħhom ta’ protezzjoni tad-dejta meta jużaw servizzi ta’ cloud computing u għandhom jiżguraw livell ekwivalenti ta’ protezzjoni għal mudelli oħra ta’ infrastruttura. Dik mhijiex talba li kull istituzzjoni jkollha kollox. Hija tfakkira li l-esternalizzazzjoni ta’ funzjoni ma testernalizzax id-dmir li wieħed jifhem il-ftehim. Id-dmir jagħmel is-sjieda rilevanti għaliex ir-responsabbiltà ma tistax tiġi eżerċitata permezz ta’ dijagramma li tħalli barra l-parti bil-poter prattiku.
Il-portata legali ma titħassarx b’indirizz Ewropew
Il-ġuriżdizzjoni spiss hija l-aktar saff skomdu għaliex tirreżisti t-tweġiba sempliċi. Kuntratt jista’ jagħżel liġi governattiva u qorti. Dawk l-għażliet jgħoddu. Ma jġiegħlux poteri legali oħra jisparixxu. Il-portata legali tista’ ssegwi entità, stabbiliment, fornitur ta’ servizz, grupp korporattiv, persuna b’aċċess, bejjiegħ ta’ hardware jew il-post u n-natura ta’ dejta partikolari. L-analiżi eżatta tiddependi fuq il-fatti u l-liġi. Blog post ma jistax isolviha għal organizzazzjoni reali, u mudell ta’ akkwist ma jistax jissostitwixxi parir xieraq fejn ir-riskju huwa materjali.
Id-dixxiplina utli hija li tifred mistoqsija legali minn dikjarazzjoni ġeografika. Ċentru tad-dejta fl-Unjoni Ewropea jgħidilna fejn jinsab it-tagħmir. Ma jgħidilniex waħdu liema entitajiet jistgħu jiġu mġiegħla, liema awtoritajiet jistgħu jagħmlu talba, liema notifika hija possibbli, jew jekk fornitur għandux obbligi taħt ordni legali ieħor. Li tittratta t-tnejn bħala ekwivalenti jista’ joħloq sens falz ta’ għeluq. Ix-xerrej seta’ ssodisfa rekwiżit ta’ residenza filwaqt li ħalla l-analiżi legali kompletament mhux imwettqa.
Il-linji gwida finali tal-EDPB dwar l-interazzjoni bejn l-Artikolu 3 tal-GDPR u l-Kapitolu V dwar it-trasferimenti internazzjonali huma utli preċiżament għaliex jirreżistu l-qatgħat qosra. Huma jiddistingwu l-ambitu territorjali tal-GDPR mill-mistoqsija dwar jekk operazzjoni ta’ pproċessar hijiex trasferiment internazzjonali. Dik id-distinzjoni ma tipprovdix konklużjoni għal kull sitwazzjoni ta’ cloud. Turi għaliex frażijiet bħal ibbażat fl-UE jew kopert mill-GDPR ma jistgħux iġorru kull inferenza legali li xerrej jista’ jrid jagħmel. L-analiżi tal-protezzjoni tad-dejta ssegwi l-ipproċessar u l-atturi attwali.
L-Att dwar id-Data jġib mistoqsija relatata fil-fajl tas-servizzi tal-cloud. Il-Kapitolu VII tiegħu jikkonċerna aċċess governattiv internazzjonali illegali u trasferiment ta' data mhux personali miżmuma fl-Unjoni. Ir-Regolament jeħtieġ li l-fornituri ta' servizzi ta' pproċessar tad-data jieħdu miżuri tekniċi, organizzattivi u legali adegwati, inklużi miżuri kuntrattwali, fiċ-ċirkostanzi deskritti fl-Artikolu 32. Ma jwiegħedx li fornitur jista' jġiegħel kull talba esterna tisparixxi. Jeħtieġ rispons dixxiplinat għal kunflitt li ma jistax jitwarrab b'terminu ta' kummerċjalizzazzjoni.
Għall-klijenti, ix-xogħol immedjat huwa mappa tal-evidenza. Identifika l-entità kontraenti, l-entitajiet fornituri li joperaw partijiet materjali tas-servizz, il-postijiet fejn iseħħu d-data u l-amministrazzjoni, il-ġuriżdizzjonijiet iddikjarati, ir-rotta għal meta wieħed jirċievi u jikkontesta talbiet, il-kundizzjonijiet ta' notifika, u l-parir legali meħtieġ għall-ammont ta' xogħol partikolari. Immarka dak li huwa magħruf, dak li huwa ddikjarat mill-fornitur, dak li huwa impenjat kuntrattwalment u dak li għadu jeħtieġ investigazzjoni. Mappa bid-data u b'vojt hija aktar utli minn paragrafu ta' assigurazzjoni dejjiemi.
Il-kontroll operazzjonali huwa fejn wegħda ssir realtà
Il-kontroll operazzjonali huwa l-abbiltà li wieħed iġiegħel sistema tagħmel xi ħaġa, jew tieqaf tagħmilha, permezz ta' awtorità u mekkaniżmu definiti. Jinkludi affarijiet ordinarji: il-ħolqien ta' kont, il-bidla ta' politika tan-netwerk, ir-rotazzjoni ta' ċavetta, ir-restawr ta' backup, l-approvazzjoni ta' rilaxx, l-iżolament ta' klijent, l-irtirar ta' amministratur, l-ispezzjoni ta' log u l-esportazzjoni ta' rekord. L-ebda waħda minn dawn l-azzjonijiet mhijiex ċertifikat ta' sovranità. Flimkien juru jekk il-klijent u l-fornitur għandhomx diviżjoni ta' responsabbiltà li tinftiehem.
Arranġament tal-cloud huwa dgħajjef fejn kull azzjoni konsegwenzjali tispiċċa b'email lil indirizz ta' appoġġ ġeneriku. L-appoġġ huwa importanti, u appoġġ espert jista' jkun waħda mir-raġunijiet tajbin biex wieħed juża servizz immexxi. Iżda organizzazzjoni kritika għandha tiddistingwi bejn rotta ta' appoġġ u rotta ta' awtorità. Rotta ta' appoġġ hija kif il-fornitur jgħin. Rotta ta' awtorità hija kif il-klijent jista' jibda, japprova, josserva u jirreġistra azzjoni li għaliha jibqa' responsabbli. It-tnejn jistgħu jiltaqgħu f'ticket. M'għandhomx jitħawdu.
Ikkunsidra każ ċarament ipotetiku. Konsorzju Ewropew ta' riċerka juża ambjent analitiku ospitat għal proġett sensittiv iżda legali. Għandu kuntratt għar-reġjun Ewropew u lokazzjoni tad-data dokumentata. Waqt reviżjoni interna, il-konsorzju jrid jissospendi pipeline partikolari, jippreserva r-rekords assoċjati u jipprevjeni li sors ġdid ta' data jitqabbad sakemm tispiċċa r-reviżjoni. Il-mistoqsijiet utli mhumiex jekk operatur immaġinarju jġib ruħu b'mod erojku. Huma jekk il-konsorzju għandux rwol imsemmi li jista' jordna l-bidla, jekk il-pjattaforma tesponix mekkaniżmu kkontrollat, jekk l-azzjoni hijiex irreġistrata, u jekk il-flussi dipendenti humiex viżibbli qabel ma jintuża l-iswiċċ.
L-ipotetiku huwa deliberatament kwiet għaliex l-awtorità ordinarja hija l-punt. Servizz m'għandux bżonn ifalli biex il-klijent ikollu bżonn kontroll. Reviżjoni tal-privatezza, bidla fl-iskop, deċiżjoni ta' akkwist, tilwima kuntrattwali, tħassib dwar is-sigurtà jew tluq ta' persunal jistgħu kollha jeħtieġu azzjoni limitata. Jekk ħadd ma jaf min jista' jieħdha, jew jekk il-klijent ma jistax jispezzjona dak li għamlet l-azzjoni, il-problema mhijiex li l-cloud huwa misterjuż. Il-problema hija li l-mudell operattiv qatt ma tlestiex.
Kontroll operattiv tajjeb mhux bilfors ikun ċentralizzat. Istituzzjoni kbira tista’ tqassam ir-responsabbiltajiet fost sid ta’ servizz, rwol ta’ sigurtà, funzjoni ta’ protezzjoni tad-dejta, tim operattiv u fornitur. Id-diviżjoni tista’ tnaqqas ir-riskju li persuna waħda tieħu deċiżjoni ta’ ħsara waħedha. L-importanti huwa li l-konfini tal-awtorità tkun ċara. Kull rwol għandu jkun jaf x’jista’ jibda, x’jista’ japprova, x’irid jirreġistra, meta jrid jeskala u kif l-organizzazzjoni tirkupra meta l-persuna tas-soltu ma tkunx disponibbli. Il-cloud mhix eżentata mill-governanza għax id-dashboard tagħha huwa pulit.
Il-linja tas-subappaltatur hija parti mis-servizz
Il-biċċa l-kbira tas-servizzi tal-cloud mhumiex mogħtija minn kumpanija waħda li tuża bini wieħed u munzell ta’ softwer wieħed. Jistgħu jinvolvu fornituri ta’ infrastruttura, operaturi tan-netwerk, servizzi ta’ sigurtà mmaniġġjati, sħab ta’ appoġġ, proċessuri ta’ ħlas, dawk li jżommu s-softwer, servizzi ta’ identità, manifatturi ta’ hardware u subappaltaturi speċjalizzati. Katina kumplessa mhijiex evidenza ta’ falliment. Hija raġuni biex tiddeskrivi l-katina. Il-klijent irid ikun jaf fejn jibdew id-dipendenzi materjali, x’huma permessi jagħmlu, u kif se tiġi kkomunikata bidla.
Il-vokabularju tal-protezzjoni tad-dejta ta’ kontrollur u proċessur huwa utli hawnhekk, iżda m’għandux isir sostitut għall-fehim. Lista ta’ proċessuri tista’ tidentifika organizzazzjonijiet li jipproċessaw dejta personali f’isem fornitur. Jista’ ma jweġibx kull mistoqsija operattiva dwar il-provvista tas-softwer, l-appoġġ tal-hardware, l-amministrazzjoni remota, it-telemetrija, ir-rispons għal inċidenti jew l-awtorità korporattiva. Bil-maqlub, inventarju tal-inġinerija jista’ jidentifika komponenti iżda jħalli barra min għandu dmir kuntrattwali lejn il-klijent. Iż-żewġ veduti għandhom jinqraw flimkien aktar milli jintużaw bħala biċċiet ta’ karti li jikkompetu ma’ xulxin.
Il-gwida tal-cloud tal-EDPS tirrakkomanda allokazzjoni ċara tar-responsabbiltajiet u attenzjoni għar-rwoli tal-partijiet involuti fis-servizzi tal-cloud. Dak it-tħassib prattiku jibqa’ qawwi għax mudelli kumplessi ta’ kunsinna jistgħu joħolqu l-impressjoni li r-responsabbiltà evaporat fl-arkitettura. Ma għamlitx hekk. Xi ħadd xorta jiddeċiedi l-għan ta’ operazzjoni ta’ proċessar. Xi ħadd xorta jistabbilixxi l-kundizzjonijiet tekniċi. Xi ħadd xorta jaċċetta subappaltatur. Xi ħadd xorta jrid jispjega x’ġara meta sistema tinbidel. Il-kumplessità tista’ tispjega għaliex it-tweġiba tieħu ż-żmien. Ma tagħmilx il-mistoqsija irraġonevoli.
Hemm test utli għall-materjalità. Jekk fornitur jisparixxi mill-arranġament għada, is-servizz jitlef funzjoni li l-klijent jeħtieġ, jitlef proprjetà ta’ sigurtà, jitlef aċċess għal rekord, jew jitlef il-kapaċità li jiċċaqlaq? Jekk it-tweġiba hija iva, dak il-fornitur jappartjeni fil-mappa tal-kontroll. Il-mappa m’għandhiex għalfejn tesponi kull resistor jew tagħmel kull relazzjoni kummerċjali pubblika. Iżda trid turi dipendenzi li jibdlu l-kapaċità tal-klijent li jiggverna x-xogħol. Dipendenza moħbija mhijiex astrazzjoni intelliġenti. Hija laqgħa futura b’ton kemmxejn differenti.
Il-kontroll tas-subappaltatur jiddependi wkoll fuq iż-żmien. Ix-xerrej għandu jkun jaf kif jiddaħħlu proċessuri ġodda u fornituri operattivi materjali, x’avviż jingħata, liema proċess ta’ oġġezzjoni jew valutazzjoni japplika, u kif tiġi rreġistrata bidla. Lista statika hija aħjar minn l-ebda lista. Lista attwali u rivedibbli hija aħjar għax tirrikonoxxi li servizz mhuwiex iffriżat fil-mument tal-firma. L-organizzazzjoni ma tistax tiggverna d-dipendenzi li ma jingħadulhiex li waslu.
Il-hardware għandu politika, u konsegwenza operattiva
Huwa jista’jkun jitħajjar wieħed iwaqqaf l-analiżi fuq l-interface tas-software. Is-servizz jaħdem, id-dashboard hija bl-ilsien it-tajjeb, il-ftehim isemmi reġjun Ewropew, u l-infrastruttura ta’ taħtu tidher wisq imbiegħda biex tkun utli. Iżda l-hardware u l-katina ta’ appoġġ tiegħu jistgħu jkunu deċiżivi meta jkunu importanti d-disponibbiltà, il-kunfidenzjalità, il-manutenzjoni, it-tiswija, il-kapaċità jew il-kontinwità. Il-mistoqsija mhijiex jekk klijent għandux jirrevedi kull ċippa. Il-mistoqsija hija jekk il-klijent jafx liema dipendenzi jagħmlu possibbli s-servizz magħżul u x’jigri meta waħda minnhom tinbidel.
Hawnhekk id-distinzjoni bejn aspirazzjoni sovrana u awtosuffiċjenza jixirqilha attenzjoni. L-Ewropa tipparteċipa fil-katini tal-provvista globali. L-ebda organizzazzjoni serja ma tista’ tagħmel kull semikonduttur, kejbil, server, komponent tal-firmware, sistema operattiva u għodda fi ħdan konfini ta’ akkwist wieħed. U lanqas ma jkun limitu raġonevoli għal kull tagħbija ta’ xogħol. Is-sovranità prattika hija l-abbiltà li tirrikonoxxi dipendenza, li tistabbilixxi kundizzjonijiet madwarha, li żżomm alternattivi fejn ikunu meħtieġa u li tevita li tippretendi li komponent estern indispensabbli mhuwiex indispensabbli.
Id-dipendenzi tal-hardware jistgħu jaffettwaw il-kontroll tal-cloud permezz tal-allokazzjoni tal-kapaċità, l-aċċess għall-manutenzjoni, l-aġġornamenti tas-software, ir-rotot ta’ sostituzzjoni u l-komponenti fdati. Jistgħu wkoll jaffettwaw il-fattibbiltà ta’ migrazzjoni. Tagħbija ta’ xogħol miktuba madwar karatteristika maniġġjata partikolari, ambjent ta’ aċċeleratur speċifiku jew integrazzjoni mhux dokumentata tista’ tkun teknikament portabbli biss bl-istess mod li pjanu huwa portabbli meta xi ħadd joffri li jġorruh sitt sulari ta’ taraġ. In-nom huwa korrett. Il-pjan mhuwiex komplut.
Il-valutazzjoni tar-riskju tal-cloud tal-ENISA issa hija pubblikazzjoni anzjana, iżda l-kawtela tagħha dwar lock-in, riskju legali u telf ta’ kontroll ma saretx antikwata. Il-vokabularju tekniku nbidel diversi drabi minn mindu dehret. Il-mistoqsija bażika ma nbidlitx: x’jitlef il-klijent jekk is-servizz jinbidel, ir-relazzjoni tispiċċa jew dipendenza ma timxix kif mistenni? Valutazzjoni tar-riskju ma tirrikjedix li xerrej jirrifjuta kull servizz maniġġjat. Titlob lix-xerrej jorbot konsegwenzi mad-dipendenzi qabel ma d-dipendenza ssir emerġenza.
Fajl tal-cloud konxju mill-hardware jista’ jibqa’ proporzjonat. Irrekordja l-arkitettura fil-livell li jimporta għat-tagħbija ta’ xogħol. Identifika dipendenzi esklussivi u punti uniċi ta’ għarfien operattiv. Stqarr it-termini tal-kuntratt li jaffettwaw il-kontinwità u l-migrazzjoni. Staqsi liema triq ta’ appoġġ hija meħtieġa għall-aġġornamenti tas-sigurtà jew għall-irkupru. Iċċekkja jekk ambjent ta’ sostituzzjoni jeħtieġx l-istess komponenti proprjetarji. L-għan mhuwiex katalgu ta’ mużew. Huwa stampa sobria tal-affarijiet li jridu jibqgħu disponibbli biex l-organizzazzjoni tkompli tagħmel ix-xogħol tagħha.
Il-ħruġ huwa kapaċità, mhux buttuna ta’ tniżżil
L-iktar mistoqsija tal-cloud li tiżvela ħafna spiss tkun x’jigri meta l-klijent irid jitlaq. It-tluq jista’ jfisser li wieħed jimxi lejn fornitur ieħor, iġib funzjoni lura f’ambjent on-premises, ibiddel l-arkitettura, inaqqas is-servizz jew iwaqqfu. Klijent kultant jista’ jesporta database u xorta ma jkunx jista’ jerġa’ jibda s-servizz. Il-funzjoni tista’ wkoll tiddependi fuq konfigurazzjoni, identitajiet, ċwievet, logs, permessi, awtomazzjoni, mudelli, materjal ta’ evalwazzjoni, nisel tad-dejta, regoli ta’ integrazzjoni u l-għarfien operattiv li jgħaqqad il-biċċiet flimkien.
Id-Data Act hija konkreta b’mod mhux tas-soltu fuq dan il-punt. Id-dispożizzjonijiet tagħha dwar il-bdil ta’ fornitur jirrikjedu li l-kuntratti jistabbilixxu drittijiet u obbligi madwar il-bdil u l-portabbiltà ta’ dejta esportabbli u assi diġitali. Tistabbilixxi perjodu tranżizzjonali massimu normali ta’ 30 jum kalendarju wara l-perjodu ta’ avviż rilevanti, filwaqt li tippermetti perjodu alternattiv f’każijiet definiti ta’ infattibbiltà teknika, soġġett għal kundizzjonijiet. Tindirizza wkoll interfaces miftuħa u interoperabbiltà. Ir-Regolament jagħti lix-xerrejja xi ħaġa ta’ valur: raġuni legali biex jitolbu t-triq qabel ma jkollhom bżonnha.
Il-limiti huma importanti daqstant. L-Att dwar id-Data ma jagħmilx kull assi diġitali trasferibbli, ma jobbligax lill-fornitur jiżvela proprjetà intellettwali protetta jew sigrieti kummerċjali, u ma jiggarantixxix ekwivalenza funzjonali fid-destinazzjoni. Fornitur jista' jissodisfa dmirijiet legali waqt li l-migrazzjoni tibqa' diffiċli. Xerrej jista' jkollu dritt ta' esportazzjoni iżda jkun nieqes mill-persunal, mill-baġit jew mid-destinazzjoni meħtieġa biex jużah. Huwa għalhekk li l-ħruġ għandu jitqies bħala kapaċità kondiviża bejn il-kuntratt, l-arkitettura u l-organizzazzjoni, aktar milli wegħda magħmula b'linja waħda f'formola ta' ordni.
Fajl ta' ħruġ kredibbli jirreġistra t-tip ta' servizz fil-mira, id-data u l-assi li jistgħu jiġu esportati, il-formati tagħhom, il-proċedura biex jinkisbu, il-kundizzjonijiet ta' kontinwità mistennija, il-perjodu ta' rkupru, is-suppożizzjonijiet dwar id-destinazzjoni u l-partijiet tal-funzjoni li ma jistgħux sempliċement jiċċaqilqu. Jidentifika min se jivvalida li l-materjal esportat huwa użabbli. Jirreġistra liema logs u evidenza jridu jibqgħu jeżistu. Isemmi l-awtorità li tista' taċċetta l-bidla jew tiddeċiedi li għadha mhix sigura biex titlesta. Dan huwa inqas eċċitanti minn tħabbira ta' migrazzjoni. Iżda huwa ħafna aktar probabbli li jagħmel it-tħabbira vera.
L-ittestjar huwa importanti. Eżerċizzju żgħir u limitat jista' juri jekk format huwiex sempliċement disponibbli jew verament użabbli, jekk identità tistax tinħoloq mill-ġdid mingħajr ma jinbidlu l-permessi, jekk ċavetta tistax tiġi trasferita taħt l-awtorità t-tajba, jekk ir-rekords iżommux it-tifsira tagħhom, u jekk servizz imnaqqas jistax ikompli waqt li s-servizz sħiħ jiċċaqlaq. Din mhix dikjarazzjoni li kull organizzazzjoni trid tipprattika ħruġ sħiħ mill-cloud kull xahar. L-ambitu għandu jirrifletti l-konsegwenza ta' interruzzjoni. Hija dikjarazzjoni li ħruġ mhux ittestjat huwa intenzjoni, għadu mhux għażla.
X'għandha jkun fiha valutazzjoni Ewropea tal-cloud
Valutazzjoni utli tibda billi ssemmi l-funzjoni, mhux il-fornitur. Liema xogħol mistenni jappoġġa s-servizz? Liema data, rekords, drittijiet, ħtiġijiet ta' kontinwità u konsegwenzi pubbliċi huma involuti? Għodda ta' kollaborazzjoni b'konsegwenzi baxxi u sistema li jkollha rekords operattivi sensittivi ma jeħtiġux kontrolli identiċi. Il-bidu bil-workload jipprevjeni li organizzazzjoni tapplika tikketta kbira ta' sovranità lil deċiżjoni żgħira u speċifika, jew li tittratta servizz kritiku bħallikieku kien abbonament ieħor tal-uffiċċju.
Imbagħad għamel dikjarazzjoni dwar il-post b'konfini. Stqarr fejn huwa mistenni li jopera l-pjan tax-xogħol rilevanti, liema kategoriji ta' data jkopri, liema kopji u dijanjostiċi huma inklużi, liema trasferimenti huma permessi, kif il-pożizzjoni hija sostanzjata b'evidenza u kif jinnotifikaw il-bidliet. Jekk il-fornitur jista' jagħmel biss dikjarazzjoni reġjonali wiesgħa, irreġistra dik il-limitazzjoni. Xerrej għandu d-dritt jiddistingwi bejn impenn preċiż u deskrizzjoni kummerċjali ġenerali. Id-distinzjoni mhijiex ostili. Hija għalhekk li jeżistu l-kuntratti.
Imbagħad agħmel mappa tal-entitajiet u tal-awtorità. Irreġistra l-entità kontraenti, entitajiet tal-grupp b'rwol materjali, proċessuri jew subproċessuri msemmija fejn rilevanti, ir-rwoli li jistgħu jamministraw is-servizz, it-triq ta' eskalazzjoni, l-arranġamenti tal-identità u taċ-ċwievet, u l-awtorità tal-klijent li tibqa' wara l-outsourcing. Inkludi l-evidenza legali u teknika li tappoġġa kull daħla. Tiktebx fornitur jew klijent fejn entità, rwol jew mekkaniżmu partikolari huwa magħruf. In-nomi ġenerali huma tajbin ħafna biex jaħbu assenzi speċifiċi.
Żid mappa tad-dipendenzi. Din għandha tinkludi s-software materjali, il-hardware, in-network, l-appoġġ u d-dipendenzi tal-integrazzjoni, il-passaġġ tal-bidla għal kull waħda, u l-konsegwenzi tat-telf jew tal-alterazzjoni. M'għandhiex għalfejn tbassar il-futur. Għandha bżonn tagħmel id-disinn attwali wieħed li jista' jiġi kkontestat. Jekk dipendenza hija aċċettabbli, ikteb għaliex. Jekk mhijiex aċċettabbli, stqarr il-kundizzjoni tar-rifjut. Jekk hija mhux magħrufa, tissolvix l-iskumdità billi ssejjaħha riskju baxx. Mhux magħruf huwa status reali, u spiss jaqla' l-biċċa xogħol li jmiss.
Fl-aħħar, waħħal ir-reġistru tal-ħruġ u tar-reviżjoni. Aqbad id-dispożizzjonijiet kuntrattwali applikabbli, il-proċeduri tal-esportazzjoni, it-testijiet imwettqa, il-lakuni misjuba, l-azzjonijiet korrettivi, id-data tar-reviżjoni u l-avvenimenti li jqanqlu valutazzjoni mill-ġdid. Il-punt mhuwiex li tipproduċi folder perfett. Huwa li tistabbilixxi kontabbiltà ħajja ta' kontroll li tibqa' teżisti wara bidla fl-istaff, aġġornament tas-servizz, tiġdid tal-kuntratt u l-jum meta xi ħadd ikollu jieħu deċiżjoni skomda malajr. Rapport li ma jistax jiġi aġġornat isir storja b'fattura mehmuża.
Dak li l-akkwist pubbliku jista' jitlob mingħajr ma jippretendi li jsolvi kollox
Ix-xerrejja pubbliċi għandhom raġuni partikolari biex jinsistu fuq din l-evidenza għax spiss iġorru responsabbiltajiet li ma jintemmx meta jiġi ffirmat kuntratt. Jistgħu jkunu responsabbli lejn iċ-ċittadini, soġġetti għar-regoli tar-rekords pubbliċi, responsabbli għal funzjonijiet essenzjali jew meħtieġa jispjegaw għaliex deċiżjoni kienet raġonevoli. Dan ma jfissirx li l-akkwist pubbliku jista' jelimina kull dipendenza barranija, jew li preferenza nazzjonali hija sostitut għal valutazzjoni teknika. Ifisser li t-tender jista' jagħmel mistoqsijiet li jagħmlu l-arranġament viżibbli qabel ma jsir inkorporat.
Tender proporzjonat jista' jitlob l-entitajiet li se jipprovdu partijiet materjali tas-servizz, il-konfini ġeografiċi u legali ddikjarati, il-mudell tar-rwol u tal-awtorità, il-proċess tal-bidla tas-sottokuntrattur, ir-rotta tal-appoġġ u tal-inċidenti, l-evidenża miżmuma għall-konsumatur, il-proċedura tal-esportazzjoni u tal-bidla, u l-kundizzjonijiet li taħthom konsumatur jista' jissospendi, jillimita jew itemm l-użu. Jista' jagħti punteġġ lill-kwalità tat-tweġibiet minflok jippremja aġġettiv. Fornitur li jaf il-mudell operattiv tiegħu stess għandu jkun jista' jispjegah mingħajr magna taċ-ċpar.
Hemm kompromessi. Aktar evidenza tista' ttawwal akkwist. Xi rekwiżiti jistgħu jnaqqsu n-numru ta' offerti. Fornitur żgħir jista' jkollu inqas kapaċità jipproduċi dokumentazzjoni elaborata anki meta l-mudell ta' kontroll tiegħu jkun b'saħħtu. Fornitur eżistenti jista' jkollu servizz tekniku eċċellenti iżda passaġġ ta' ħruġ li jeħtieġ negozjar. Dawn mhumiex argumenti biex taqbeż il-mistoqsijiet. Huma l-fatti li xerrej jeħtieġ biex jiddeċiedi liema spiża hija aċċettabbli: l-ispiża tal-evidenza u tal-alternattivi issa, jew l-ispiża tad-dipendenza aktar tard.
Ix-xogħol tal-Kummissjoni Ewropea dwar is-sovranità tal-cloud għamel din id-direzzjoni viżibbli f'termini ta' akkwist, iżda x-xerrejja m'għandhomx għalfejn jistennew badge universali. Jistgħu jispeċifikaw il-konfini tar-riskju tagħhom stess u jitolbu evidenza li taqbel miegħu. Librerija pubblika, aġenzija tar-riċerka, dipartiment tal-belt u operatur ta' infrastruttura kritika mhux se jużaw l-istess limitu. M'għandhomx. It-test huwa jekk ir-rekwiżiti jsegwux il-funzjoni, humiex ippubblikati b'mod ġust, jistgħux jiġu evalwati b'mod konsistenti u jippreservawx il-kapaċità tal-konsumatur li jispjega dak li għażel.
Dik hija l-wegħda aktar kwieta tal-politika Ewropea tal-cloud. Tista' tmexxi l-konversazzjoni 'l bogħod mit-teatru tan-nazzjonalità u lejn il-governanza tar-relazzjonijiet. It-tweġiba Ewropea m'għandhiex għalfejn tkun gżira teknoloġika ssiġillata. Tista' tkun suq aktar matur li fih it-talbiet dwar il-post, il-kontroll, il-liġi u l-ħruġ huma talbiet separati, appoġġjati b'evidenza separata. L-interdipendenza ma tisparixxix meta tissemma. Issir possibbli li tiddeċiedi fejn hija tollerabbli.
Il-kontrolli ma jwieġbux lil xulxin
Jiswa li tirreżisti aħħar shortcut wieħed. Encryption b'saħħitha ma twieġibx mistoqsija ta' sjieda. Ċwievet miżmuma mill-konsumatur jistgħu jnaqqsu riskji partikolari ta' aċċess u jistgħu jkunu kontroll importanti, iżda waħedhom ma jistabbilixxux min imexxi s-servizz, min jikkontrolla l-pjattaforma, liema informazzjoni tibqa' viżibbli fil-metadata, jew jekk il-konsumatur jistax jiċċaqlaq il-funzjoni. Klawżola tajba ta' ħruġ ma twieġibx mistoqsija ta' ġuriżdizzjoni. Ġenitur Ewropew ma jwieġibx mistoqsija ta' appoġġ għall-hardware. Kull kontroll għandu xogħlu. Kull wieħed għandu jiġi vvalutat għax-xogħol li fil-fatt iwettaq.
Dan huwa wkoll għaliex deċiżjoni dwar il-cloud għandha tkun tista' tgħid "mhux biżżejjed" mingħajr ma ssir teatrali. Xerrej jista' jsib li l-impenn dwar il-post huwa adegwat iżda n-notifika ta' bidla hija vag wisq. Jista' jaċċetta subproċessur iżda jitlob rotta ta' awtorità aktar ċara. Jista' jaċċetta dipendenza fuq hardware barrani filwaqt li jinsisti fuq pjan dokumentat ta' sostituzzjoni. Jista' jiddeċiedi li servizz partikolari mhuwiex adattat għal kategorija partikolari ta' data filwaqt li jibqa' adattat għal oħra. Is-sfumatura mhijiex nuqqas ta' deċiżjoni. Hija l-kundizzjoni biex tiddeċiedi fuq l-evidenza aktar milli fuq ir-rikonoxximent tad-ditta.
Ix-xogħol isir aktar faċli meta l-evidenza tinżamm qrib id-deċiżjoni. Tpoġġix id-dikjarazzjoni dwar il-post tad-data f'sistema waħda, il-kuntratt f'oħra, ir-reviżjoni tal-aċċess f'inbox u l-pjan ta' ħruġ fil-memorja ta' xi ħadd. Orbothom mar-rekord tas-servizz u agħti r-rekord sid. Meta rekwiżit jinbidel, l-organizzazzjoni għandha tkun tista' ssib l-evidenza, tidentifika l-konfini affettwat u tiddeċiedi jekk is-servizz jistax ikompli. Dik hija governanza fl-inqas forma glamoruża tagħha u l-aktar utli.
Nota qasira mingħandna
Ir-rapport tagħna The Sovereignty Illusion juża ħames lentijiet prattiċi għal mistoqsija simili: sjieda, teknoloġija, kapital, infrastruttura u espożizzjoni legali. Dik hija l-qafas tar-riċerka tagħna, mhux klassifikazzjoni legali u lanqas prova li servizz partikolari jissodisfa l-bżonnijiet ta' konsumatur. Il-kontribut utli tagħha huwa drawwa ta' attenzjoni. Meta pretensjoni dwar il-cloud tinstema' kompleta, staqsi liema minn dawk il-lentijiet fil-fatt tkopriet u liema jibqgħu barra mill-qafas.
Dik id-drawwa tifforma wkoll kif niddeskrivu x-xogħol tagħna stess. Pretensjoni ta' sovranità għandha tkun limitata mid-deploy, mill-kuntratt u mir-responsabbiltà operattiva, mhux minfuħa fi wegħda li paġna ta' prodott ma tistax iżżomm. Il-konsumatur, il-workload u l-mudell ta' kontroll miftiehem xorta jiddeċiedu x'jista' jingħad b'mod onest. F'qasam mimli nomi kbar, ir-restraint mhuwiex inkonvenjent ta' marketing. Huwa parti mill-evidenza.
Il-mistoqsija wara l-isem tal-belt
Il-post Ewropew għadu jiswa li wieħed jistaqsi dwaru. Jista' jkun rekwiżit legali, rekwiżit operattiv, għażla ta' reżiljenza, għażla ta' sigurtà fiżika jew espressjoni ta' responsabbiltà pubblika. Xerrej m'għandux ikun imbarazzat li jistaqsi fejn taħdem sistema. Għandu sempliċement jagħmel il-mistoqsija fil-kumpanija. Min jippossjedi l-entità li jimpurtaha? Min għandu l-awtorità operattiva? Liema ordnijiet legali jistgħu jilħqu l-arranġament? Liema sottokuntratturi u komponenti huma materjali? X'jista' jispezzjona, iwaqqaf, jiċċaqlaq u jippreserva l-konsumatur?
Dawk il-mistoqsijiet ma jagħmlux il-cloud computing inqas utli. Jagħmlu l-użu tal-cloud computing aktar deliberat. Jissostitwixxu atmosfera ta' serħan il-moħħ b'fajl li jista' jiġi rivedut. Jagħtu lill-fornituri opportunità ġusta biex juru l-kontrolli li bnew, u lix-xerrejja mod ġust biex jiddistingwu limitazzjoni utli minn pretensjoni vojta. L-aktar importanti, jippreservaw il-possibbiltà li jibdlu r-rotta qabel ma dipendenza tinbidel f'akkuża.
Il-mistoqsija Ewropea dwar il-cloud għalhekk mhijiex fejn jinsab is-server. Hija fejn tinsab il-kontroll meta s-sistema jkollha tinbidel. Ċentru tad-dejta jista' jkun parti mit-tweġiba. Kuntratt Ewropew jista' jkun parti mit-tweġiba. Fornitur Ewropew jista' jkun parti mit-tweġiba. It-tweġiba ssir kredibbli biss meta l-organizzazzjoni tkun tista' ssegwi r-rotta mill-post għas-sjieda, mis-sjieda għall-portata legali, mill-portata legali għall-awtorità operattiva, u mill-awtorità għal triq imġarrba u ttestjata. Dik ir-rotta hija inqas memorabbli minn bandiera ħdejn bini. Iżda hija wkoll fejn jibda x-xogħol.
Sorsi
- Cloud Computing, Superviżur Ewropew tal-Protezzjoni tad-Dejta. Użat għall-pożizzjoni tal-gwida tal-EDPS dwar il-cloud li l-istituzzjonijiet tal-UE jibqgħu responsabbli għall-obbligi tagħhom ta' protezzjoni tad-dejta u għandhom jiżguraw protezzjoni ekwivalenti.
- EDPB publishes three guidelines following public consultation, Bord Ewropew tal-Protezzjoni tad-Dejta, 24 ta' Frar 2023. Użat għall-ambitu u l-għan tal-linji gwida finali dwar l-Artikolu 3 tal-GDPR u t-trasferimenti internazzjonali tal-Kapitolu V.
- Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Użat għad-dispożizzjonijiet dwar il-bdil, l-esportazzjoni, il-kontinwità, l-interoperabbiltà u l-aċċess internazzjonali tal-gvern għal servizzi ta' pproċessar tad-dejta.
- Cloud Computing Risk Assessment, Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà. Użat għall-qafas tal-valutazzjoni tar-riskju ta' lock-in, riskju legali u telf ta' kontroll.
- The Sovereignty Illusion, Dweve. Użat biss għall-qafas ta' riċerka żvelat ta' ħames lentijiet ta' Dweve.